Come riconoscere una email falsa prima di cliccare

Questo tipo di truffa si chiama anche phishing, cioè un messaggio falso che imita una banca, un negozio, un ente pubblico o una persona che conosci per farsi dare una password, dei dati personali o dei soldi. L’email è solo una delle strade: la stessa truffa arriva per SMS e dentro le app di messaggistica, e il meccanismo completo è in che cos’è il phishing.

Chi manda questi messaggi scrive lo stesso testo a una lista enorme, contando sul fatto che una parte delle persone abbia davvero il conto in quella banca, o un ordine in arrivo da quel negozio. È il motivo per cui un messaggio può sembrare scritto per te anche quando è partito verso migliaia di indirizzi insieme.

Parti dall’indirizzo completo del mittente

Il nome che vedi nella casella di posta lo sceglie chi manda il messaggio, quindi il controllo è sull’indirizzo che sta dietro, soprattutto sulla parte dopo la chiocciola. Il nome di un’azienda conosciuta attaccato a un dominio che non c’entra, o una casella gratuita che scrive a nome di un’impresa, è già un motivo per non andare avanti.

La pagina di aiuto di Gmail sul phishing dice esattamente questo: verifica che l’indirizzo email e il nome del mittente corrispondano, e non inserire mai la password dopo aver cliccato il link di un’email, ma vai direttamente sul sito.

Anche così, un indirizzo che sembra corretto non è una prova. Le caselle vere vengono violate e il mittente si può falsificare, ed è il motivo per cui la cosa da giudicare resta la richiesta dentro il messaggio, non il nome sopra. La Polizia Postale, nei consigli contro il phishing, mette al primo posto proprio una regola sulla richiesta: le banche e le società che emettono carte non chiedono mai la conferma dei dati personali per email.

I segnali nel testo dell’email

Dopo il mittente, leggi che cosa il messaggio ti sta chiedendo di fare. I segnali che tornano più spesso sono pochi:

• Fretta o minaccia. Un conto bloccato oggi, una somma da pagare entro 24 ore, un ultimo avviso prima della disdetta. La scadenza corta esiste perché tu agisca prima di controllare.
• Un premio, un rimborso o un vantaggio. Un rimborso sbloccato, punti in scadenza, un’estrazione a cui non ricordi di aver partecipato.
• La richiesta di una password, di un codice o di dati personali. La password della banca, il numero della carta, il codice fiscale, o il codice usa e getta appena arrivato sul telefono, da scrivere dentro una pagina aperta dall’email.
• Un saluto generico. “Gentile cliente” o “Ciao utente” al posto del tuo nome. Da solo è un segnale debole, perché un messaggio falso può anche riportare il tuo nome corretto.
• Un addebito che non riconosci. La fattura di un acquisto che non hai mai fatto, mandata perché tu clicchi per annullarla.

Gli errori di ortografia esistono, ma non usarli come prova principale. Un messaggio falso può essere scritto bene, e l’email di un’azienda vera può contenere un refuso.

Una email falsa, segnale per segnale

Il messaggio qui sotto l’abbiamo scritto noi, da zero, per mostrare come viene costruita di solito una email così. Non usa nessun marchio reale e gli indirizzi finiscono in “.example”, una terminazione riservata agli esempi che non appartiene a nessun sito.

Cosa lo tradisce:

• Il mittente porta il nome del negozio, ma il dominio dopo la chiocciola è un altro, scelto da chi ha mandato il messaggio.
• La scadenza di poche ore spinge la decisione prima del momento in cui apriresti l’app del negozio.
• “Gentile cliente” dice che lo stesso testo è partito verso una lista lunga.
• Il pulsante punta a un indirizzo che non appartiene al negozio, anche se dentro ci sono le parole “negozio” e “sicuro”.
• La richiesta finale è di scrivere i dati della carta dentro una pagina aperta dall’email, invece di controllare l’ordine dentro il tuo account.

Nel caso di Daniela, la mossa giusta era chiudere l’email e aprire l’app del negozio. Se il pagamento fosse davvero fallito, l’avviso sarebbe lì, nello storico degli ordini.

Scopri dove porta davvero il link

Le parole scritte su un pulsante non devono per forza corrispondere all’indirizzo che apre. Su un computer, appoggiare il puntatore sul link senza cliccare mostra la destinazione in basso nello schermo: è lo stesso controllo che consiglia la Polizia Postale, e anche l’aiuto di Gmail dice che se l’indirizzo non corrisponde a quello che il link dichiara di essere, può portare a un sito falso. Sul telefono, tenere il dito premuto sul link di solito fa comparire l’indirizzo completo. Se hai paura di aprirlo per sbaglio, salta la prova e vai direttamente all’app ufficiale.

Leggi tutto il dominio. Parole in più, lettere scambiate e indirizzi accorciati nascondono dove va a finire un link. In come capire se un link è sicuro c’è quale parte di un indirizzo identifica davvero il proprietario del sito.

L’https è la “s” all’inizio dell’indirizzo e vuol dire che la connessione tra il tuo dispositivo e il sito è cifrata, quindi nessuno nel mezzo può leggerla. Non dice niente su chi possiede la pagina. La stessa pagina di aiuto di Chrome sulla sicurezza della connessione oggi non parla più di un lucchetto: descrive icone diverse accanto all’indirizzo e ti dice di controllare il nome del sito nella barra degli indirizzi.

Gli allegati che non aspettavi meritano attenzione

Una fattura, un curriculum, una ricevuta o un documento di spedizione che non aspettavi possono essere tutto il pretesto per farti aprire un file. Prima di scaricare, chiediti se stavi davvero aspettando quel documento, e se la stessa pratica compare dentro l’app o sul sito ufficiale del servizio.

La stessa attenzione vale quando un’email ti chiede di abilitare qualcosa dentro il file, di installare un programma o di dare accesso al tuo computer. Un’azienda vera può mandare allegati, ma una richiesta che esce dal suo modo abituale di lavorare merita una conferma su un’altra strada.

Come controllare senza rispondere

• Apri l’app ufficiale che hai già installata sul telefono.
• Digita tu l’indirizzo dell’azienda nel browser.
• Cerca l’acquisto, l’addebito o l’avviso dentro il tuo account.
• Se devi parlare con qualcuno, usa il numero pubblicato sul sito ufficiale o stampato sul retro della tua carta, non quello scritto nell’email.

Se l’addebito arriva da un’azienda con cui non hai mai avuto a che fare, vale la pena capire chi sia prima di pagare qualsiasi cosa: la verifica della partita IVA dell’Agenzia delle Entrate e la ricerca nel Registro delle Imprese sono i due controlli più rapidi, e il percorso completo è in come riconoscere un sito falso.

Come segnalare una email falsa

Segnalare aiuta il tuo servizio di posta a filtrare i messaggi simili, per te e per altre persone, e mette lo schema agli atti di chi indaga.

In Gmail su computer il percorso, verificato il 22 settembre 2026, è: apri il messaggio, clicca su Altro accanto a Rispondi e scegli Segnala phishing. Negli altri servizi di posta il comando si chiama di solito “Segnala phishing” o “Segnala come posta indesiderata” e sta nel menu del singolo messaggio; i nomi delle voci cambiano fra una versione e l’altra dell’app.

Poi segnala il messaggio alla Polizia Postale dal modulo Segnala online, che accetta espressamente le segnalazioni di phishing e chiede solo una email per la conferma. Se ci sono di mezzo dei soldi o un accesso perso, il passo giusto è la denuncia per reati telematici, che si presenta con SPID o carta d’identità elettronica e va formalizzata entro 48 ore in un ufficio di Polizia.

Dopo aver segnalato, cancella il messaggio. Non rispondere, nemmeno per chiedere di smettere, perché qualsiasi risposta dice a chi l’ha mandato che quell’indirizzo è letto da qualcuno.

Se hai già cliccato

Cliccare capita, anche a chi sta attento. Quello che conta è cosa è successo dopo. Se hai solo aperto la pagina e non hai scritto niente, chiudila senza scaricare file e senza accettare permessi.

1. Nella prima ora, chiama la banca se hai inserito i dati della carta o del conto. Usa il numero stampato sulla carta o quello dentro l’app. Chiedi di bloccare la carta e di averne una nuova, e se un addebito è già partito senza che tu lo autorizzassi, chiedi di disconoscerlo: la Banca d’Italia spiega che la contestazione va fatta il prima possibile, e comunque entro tredici mesi dall’addebito.
2. Cambia la password di ogni account in cui sei entrato. Cambiala sul sito vero, non da un link dentro la pagina che hai appena lasciato, e cambiala anche dove avevi usato la stessa.
3. Attiva la verifica in due passaggi su quell’account, così una password rubata da sola non basta più per entrare. Se hai scritto un codice usa e getta o hai approvato una richiesta di accesso, parti dall’idea che qualcuno sia già dentro e controlla le sessioni attive e i dispositivi collegati.
4. Se hai fatto un bonifico o un bonifico istantaneo, chiama subito la banca e di’ che è una frode. Quando l’ordine è partito da te, il pagamento risulta autorizzato: la banca può provare a chiedere il rientro delle somme alla banca di chi le ha ricevute, ma il risultato dipende dal fatto che i soldi siano ancora lì. Fatti dire cosa possono tentare e cosa non possono fare.
5. Conserva le prove. Salva l’email, l’indirizzo che il link ha aperto, l’orario e le eventuali ricevute. Le segnalazioni sono più utili con quella roba allegata.

Se la banca non risolve, il passo dopo è un reclamo scritto, che sui servizi di pagamento va riscontrato entro 15 giorni lavorativi. Se la risposta non ti convince, restano l’esposto alla Banca d’Italia e il ricorso all’Arbitro Bancario Finanziario, che richiede sempre il reclamo prima e va presentato entro dodici mesi da quel reclamo.

Se qualcuno ti minaccia o sei in pericolo in quel momento, chiama il 112.

Le fonti che abbiamo consultato

I consigli e i percorsi dei menu citati sopra sono stati verificati il 22 settembre 2026 su queste pagine:

• Polizia Postale: consigli contro il phishing
• Polizia Postale: Segnala online e denuncia per reati telematici
• Aiuto di Gmail: evitare e segnalare le email di phishing
• Aiuto di Chrome: capire se la connessione di un sito è sicura
• Banca d’Italia: operazioni di pagamento non autorizzate e cosa fare se si è vittima di truffe o frodi
• Arbitro Bancario Finanziario: le verifiche prima del ricorso
• Agenzia delle Entrate: verifica partita IVA

L’email dell’esempio è scritta da noi. Non riproduce nessun marchio, nessun numero e nessun layout di un’azienda reale, e gli indirizzi finiscono in “.example”, che è riservata agli esempi. Questo articolo non riporta nessuna statistica.

Questo articolo non è una consulenza legale.

Domande frequenti sulle email false